Déclarations en ligne, des pratiques exemplaires qui s’imposent

Quand vous travaillez sur un portail en ligne pour produire des déclarations, faites preuve de prudence, car vous traitez des renseignements sensibles. (Getty Images/Westend 61)

Voilà longtemps que la transmission électronique des déclarations de revenus est devenue la norme plutôt que l’exception. Comme les services infonuagiques et les portails en ligne continuent de gagner en popularité, il est toujours bon pour les CPA de passer en revue les pratiques exemplaires qui s’appliquent à eux et à leurs clients en cette saison des déclarations.

« Le portail Représenter un client de l’ARC est une mine de renseignements et de services pour les CPA et leurs clients, mais il y a des domaines où les cabinets doivent rester prudents », affirme Bruce Ball, FCPA, vice-président, Fiscalité, à CPA Canada.

Voici quelques aspects que les cabinets comptables doivent garder à l’esprit pour revoir leurs politiques et leurs pratiques.

PROTÉGER L’ACCÈS AUX PORTAILS WEB

La protection avant tout : une sécurité absolue doit être assurée pour contrôler l’accès aux portails de l’ARC, par les clients et le personnel.

Recommandez au personnel et à la clientèle de choisir dans la mesure du possible un nom d’utilisateur unique pour toute connexion liée à la fiscalité, aux comptes bancaires et à tout autre service en ligne associé à des renseignements personnels sensibles.

« Beaucoup de gens utilisent les mêmes nom d’utilisateur et mot de passe pour l’ARC que pour des sites moins sensibles, où le piratage n’est pas aussi grave », explique Bruce Ball. « Si un pirate obtient ces données, il peut essayer de s’en servir sur d’autres sites, comme celui d’une banque ou de l’ARC. »

Le Centre canadien pour la cybersécurité donne des conseils utiles sur les mots de passe (qui doivent être uniques, compter un minimum de caractères, de caractères spéciaux et de chiffres, et être modifiés régulièrement).

« Dans le monde où nous vivons, il reste très peu de raisons de ne pas utiliser un gestionnaire de mots de passe », ajoute Chad Davis, cofondateur de LiveCA et coanimateur du balado AutomationTown. « À chaque application, son mot de passe, en plus de l’authentification à deux facteurs, si possible. Sinon, vous risquez d’être une proie facile pour les personnes mal intentionnées. »

BIEN UTILISER LE PORTAIL « REPRÉSENTER UN CLIENT »

Les cabinets doivent adopter des politiques sur les différents niveaux d’accès au portail des membres de leur personnel. Puisque les niveaux 2 et 3 permettent à l’utilisateur de consulter et de modifier les renseignements (notamment pour les virements de fonds), ils doivent être réservés aux employés qui en ont besoin et savent s’en servir.

Les autorisations des associés et membres du personnel doivent être retirées immédiatement à leur départ.
Il y a également lieu de vérifier régulièrement que les anciens collègues ne figurent plus sur la liste des personnes autorisées et que personne n’a été ajouté à cette liste par erreur.

Vos clients doivent avoir autorisé votre cabinet au complet, et pas uniquement un membre, par le numéro d’entreprise ou un identifiant de groupe sur le portail. Autrement, vous n’aurez plus accès aux documents du client si cet employé quitte le cabinet.

Si c’est le client qui vous quitte, il vous faut une procédure pour supprimer votre autorisation sur le portail en tant que représentant autorisé. Il en va de la sécurité du client comme de la vôtre. Sans cela, un de vos collègues pourrait continuer de consulter ou de modifier les renseignements du contribuable, et l’ARC pourrait encore vous poser des questions sur son dossier. Il est aussi recommandé de vérifier régulièrement que votre liste de clients est à jour dans le portail.

PROTÉGER LES DOCUMENTS

En plus des nombreuses ressources qui accompagnent les services Web de l’ARC, les cabinets devraient télécharger et conserver tous les éléments clés du dossier (avis de cotisation, p. ex.).

La tenue de dossiers à jour vous sera d’autant plus utile si vous venez à perdre votre statut de représentant autorisé, puisque vous n’aurez plus accès à ces informations en cas de différend avec le client, précise Bruce Ball. « N’oubliez pas : le système de l’ARC ne vous appartient pas, et vous pourriez avoir besoin de ces documents plus tard. Sans ces informations importantes, il sera plus difficile de vous défendre. »

Le formulaire T183 sert de preuve que le client vous a autorisé à faire une déclaration en ligne en son nom, mais il y a d’autres gestes importants que vous pouvez poser pour le client dans le portail si vous avez un accès de niveau 2. Il est donc prudent de faire approuver par le client tout changement important au compte (virements d’envergure, p. ex.) pour éviter tout malentendu.

N’envoyez jamais par courriel des renseignements sensibles, comme un numéro d’assurance sociale, un feuillet d’impôt ou une déclaration fiscale. Ce n’est pas sécuritaire et vous pourriez l’envoyer à la mauvaise personne par mégarde. Utilisez plutôt un portail client.

« Les professionnels des TI ne cessent de le répéter, les courriels ne sont pas sécuritaires, prévient Bruce Ball. Il est préférable de verser l’information sur un portail sécurisé, et les clients y sont de plus en plus habitués. »

SURVEILLER LES ACTIVITÉS DOUTEUSES

Si un compte Mon dossier, Mon dossier d’entreprise ou Représenter un client est compromis, l’ARC en bloquera l’accès pour empêcher les tiers non autorisés de le consulter.

Restez à l’affût des activités douteuses, que ce soit celles d’un contribuable dans son compte Mon dossier ou Mon dossier d’entreprise ou celles d’un conseiller dans Représenter un client. Prenons par exemple tout changement aux renseignements bancaires, aux adresses, aux renseignements sur l’entreprise ou la personne, ou aux demandes de prestations. « Il faut toujours vérifier qu’il ne s’est rien passé de louche », insiste Bruce Ball.

« L’arnaque est un autre domaine où les CPA doivent être vigilants, dans l’intérêt de leurs clients, ajoute Chad Davis. Plus les fraudes liées à l’ARC se font courantes, plus il est important pour les professionnels en fiscalité de se tenir au courant des dernières tactiques employées par les escrocs pour accéder aux renseignements sensibles. »

Il conseille aux comptables de consulter régulièrement des sources fiables comme le Centre antifraude du Canada, le Better Business Bureau, le Bureau de la concurrence et le Commissariat à la protection de la vie privée du Canada. L’ARC tient aussi une liste des fraudes téléphoniques, postales, par courriel et par texto sur son site.

« Les comptables devraient régulièrement mettre en garde leurs clients contre les risques de fraude en lien avec l’ARC, sur toutes les plateformes possibles, y compris les médias sociaux et la messagerie électronique, dit Chad Davis. C’est un moyen efficace de prévenir les pertes financières et le vol d’identité. »

FAIRE PREUVE D’ESPRIT CRITIQUE

Beaucoup des pratiques exemplaires recommandées par l’ARC vont de soi pour les CPA, mais les cabinets n’abordent pas toujours la nécessité de faire preuve d’esprit critique pour minimiser les risques en ligne, indique Bruce Ball. « Dans le cas des portails et des déclarations électroniques, il faut être tout aussi prudent qu’avec tout renseignement sensible. Vos documents doivent être bien organisés et vos renseignements, toujours en lieu sûr. Assurez-vous de bien communiquer avec vos clients. »

RESTER AU FAIT DES QUESTIONS FISCALES

Informez-vous au sujet des nouveaux services de dépôt électronique pour les déclarations T3 des fiducies et les demandes de redressement T1, entre autres, et prenez connaissance des plus récents changements relatifs aux déclarations de revenus des particuliers en vigueur pour 2022 et par la suite.

Enfin, restez au courant des enjeux clés du domaine, notamment en découvrant ce qu’il faut faire pour offrir des services de fiscalité de haute qualité, grâce à notre blogue.